yw:https://blog.csdn.net/dongl890426/article/details/86981901
一、介紹
Netstat是控制台命令,是一個監控TCP/IP網絡的非常有用的工具，它可以顯示路由表、實際的網絡連接以及每一個網絡接口設備的狀態信息。Netstat用於顯示與IP、TCP、UDP和ICMP協議相關的統計數據，一般用於檢驗本機各端口的網絡連接情況。
二、輸出信息描述
執行netstat后輸出如下：
[root@sy-suz-srv51 ~]# netstat Active Internet connections (w/o servers) Proto Recv-Q Send-Q Local Address Foreign Address State tcp 0 0 k8sdev.sui:sun-sr-https k8sdev.suiyi.com.:34880 SYN_RECV tcp 0 0 k8sdev.suiyi.com.c:2379 10.1.62.21:47910 ESTABLISHED tcp 0 0 k8sdev.suiyi.com.c:2379 k8sdev.suiyi.com.:37790 ESTABLISHED tcp 0 0 sy-suz-srv:pcsync-https 10.1.62.162:49200 ESTABLISHED tcp 0 0 k8sdev.suiyi.com.:52866 k8sdev.sui:sun-sr-https ESTABLISHED tcp 0 0 k8sdev.suiyi.com.:37728 k8sdev.suiyi.com.c:2379 ESTABLISHED tcp 0 0 k8sdev.sui:sun-sr-https k8sdev.suiyi.com.:52852 ESTABLISHED tcp 0 0 k8sdev.sui:sun-sr-https 10.1.62.162:32841 ESTABLISHED tcp 0 0 sy-suz-srv:pcsync-https sy-suz-srv51:60094 ESTABLISHED tcp 0 0 localhost:webcache localhost:40136 ESTABLISHED tcp 0 0 k8sdev.suiyi.com.:35466 10.1.62.21:sun-sr-https ESTABLISHED tcp 0 0 k8sdev.suiyi.com.:34358 10.1.62.21:sun-sr-https ESTABLISHED Active UNIX domain sockets (w/o servers) Proto RefCnt Flags Type State I-Node Path unix 3 [ ] DGRAM 18442 /run/systemd/notify unix 2 [ ] DGRAM 18444 /run/systemd/cgroups-agent unix 2 [ ] DGRAM 23822 /var/run/chrony/chronyd.sock unix 8 [ ] DGRAM 18455 /run/systemd/journal/socket unix 18 [ ] DGRAM 18457 /dev/log unix 2 [ ] DGRAM 14151 /var/run/nscd/socket unix 2 [ ] DGRAM 584 /run/systemd/shutdownd unix 3 [ ] STREAM CONNECTED 124439388 /run/dbus/system_bus_socket unix 3 [ ] STREAM CONNECTED 42312 /run/systemd/journal/stdout unix 3 [ ] STREAM CONNECTED 39909 unix 3 [ ] STREAM CONNECTED 21675 unix 3 [ ] STREAM CONNECTED 47538 unix 3 [ ] STREAM CONNECTED 124585242 /var/run/docker/containerd/docker-containerd.sock unix 3 [ ] STREAM CONNECTED 21658 unix 2 [ ] STREAM CONNECTED 30160 unix 3 [ ] STREAM CONNECTED 33750 /run/systemd/journal/stdout unix 3 [ ] STREAM CONNECTED 124614293 @/containerd-shim/moby/c44e49ee0f86d8a4109afb176701795c64f44655abb1861275bbd3b2a9f76394/shim.sock unix 3 [ ] STREAM CONNECTED 124609611 @/containerd-shim/moby/a736ba153c07f0bbf099ae1a1069530e35bfa28ae93f8f235d6c35a6c5ed9ce7/shim.sock unix 3 [ ] STREAM CONNECTED 124601653 @/containerd-shim/moby/20d3fd59d03455d45b1da2636fca25d0edd79dac1947c17045a797eb8506157c/shim.sock
netstat的輸出結果可以分為兩個部分
1、Active Internet connections 有源TCP連接，其中"Recv-Q"和"Send-Q"指接收隊列和發送隊列。這些數字一般都應該是0。如果不是則表示軟件包正在隊列中堆積。這種情況只能在非常少的情況見到。
2、Active UNIX domain sockets 有源Unix域套接口(和網絡套接字一樣，但是只能用於本機通信，性能可以提高一倍)。
列名解釋：
Proto：顯示連接使用的協議。
RefCnt：表示連接到本套接口上的進程號。
Types：顯示套接口的類型。
State：顯示套接口當前的狀態。
Path：表示連接到套接口的其它進程使用的路徑名。
三、netstat常見參數
-a (all) 顯示所有選項，默認不顯示LISTEN相關。
-t (tcp) 僅顯示tcp相關選項。
-u (udp) 僅顯示udp相關選項。
-n 拒絕顯示別名，能顯示數字的全部轉化成數字。
-l 僅列出有在 Listen (監聽) 的服務狀態。
-p 顯示建立相關鏈接的程序名
-r 顯示路由信息，路由表
-e 顯示擴展信息，例如uid等
-s 按各個協議進行統計
-c 每隔一個固定時間，執行該netstat命令。
LISTEN和LISTENING的狀態只有用-a或者-l才能看到。
四、netstat網絡狀態詳解
一個正常的TCP連接，都會有三個階段:1、TCP三次握手;2、數據傳送;3、TCP四次揮手
如圖：
SYN：(同步序列編號,Synchronize Sequence Numbers)該標志僅在三次握手建立TCP連接時有效。表示一個新的TCP連接請求。
ACK：(確認編號,Acknowledgement Number)是對TCP請求的確認標志,同時提示對端系統已經成功接收所有數據。
FIN：(結束標志,FINish)用來結束一個TCP回話.但對應端口仍處於開放狀態,准備接收后續數據。
LISTEN：首先服務端需要打開一個socket進行監聽，狀態為LISTEN， The socket is listening for incoming connections. 偵聽來自遠方TCP端口的連接請求 。
SYN_SENT：客戶端通過應用程序調用connect進行active open.於是客戶端tcp發送一個SYN以請求建立一個連接，之后狀態置為SYN_SENT，The socket is actively attempting to establish a connection. 在發送連接請求后等待匹配的連接請求。
SYN_RECV：服務端應發出ACK確認客戶端的SYN，同時自己向客戶端發送一個SYN， 之后狀態置為SYN_RECV ，
A connection request has been received from the network. 在收到和發送一個連接請求后等待對連接請求的確認 。
ESTABLISHED：代表一個打開的連接，雙方可以進行或已經在數據交互了， The socket has an established connection. 代表一個打開的連接，數據可以傳送給用戶。
FIN_WAIT1：主動關閉(active close)端應用程序調用close，於是其TCP發出FIN請求主動關閉連接，之后進入FIN_WAIT1狀態。 The socket is closed, and the connection is shutting down. 等待遠程TCP的連接中斷請求，或先前的連接中斷請求的確認。
CLOSE_WAIT：被動關閉(passive close)端TCP接到FIN后，就發出ACK以回應FIN請求(它的接收也作為文件結束符傳遞給上層應用程序),並進入CLOSE_WAIT， The remote end has shut down, waiting for the socket to close. 等待從本地用戶發來的連接中斷請求 。
FIN_WAIT2：主動關閉端接到ACK后，就進入了FIN-WAIT-2 ， Connection is closed, and the socket is waiting for a shutdown from the remote end. 從遠程TCP等待連接中斷請求。
LAST_ACK：被動關閉端一段時間后，接收到文件結束符的應用程序將調用CLOSE關閉連接。這導致它的TCP也發送一個 FIN,等待對方的ACK.就進入了LAST-ACK ， The remote end has shut down, and the socket is closed. Waiting for acknowledgement. 等待原來發向遠程TCP的連接中斷請求的確認。
TIME_WAIT：在主動關閉端接收到FIN后，TCP就發送ACK包，並進入TIME-WAIT狀態。 The socket is waiting after close to handle packets still in the network.等待足夠的時間以確保遠程TCP接收到連接中斷請求的確認。
CLOSING：比較少見， Both sockets are shut down but we still don’t have all our data sent. 等待遠程TCP對連接中斷的確認。
CLOSED： 被動關閉端在接受到ACK包后，就進入了closed的狀態。連接結束， The socket is not being used. 沒有任何連接狀態。
TIME_WAIT狀態的形成只發生在主動關閉連接的一方。
主動關閉方在接收到被動關閉方的FIN請求后，發送成功給對方一個ACK后,將自己的狀態由FIN_WAIT2修改為TIME_WAIT，而必須再等2倍 的MSL(Maximum Segment Lifetime,MSL是一個數據報在internetwork中能存在的時間)時間之后雙方才能把狀態 都改為CLOSED以關閉連接。目前RHEL里保持TIME_WAIT狀態的時間為60秒。
Linux的相關keepalive參數
1、tcp_keepalive_time – INTEGER
How often TCP sends out keepalive messages when keepalive is enabled.（Default: 2hours）
一個連接需要TCP開始發送keepalive探測數據包之前的空閑時間，以秒為單位。
2、tcp_keepalive_probes – INTEGER
How many keepalive probes TCP sends out, until it decides that the connection is broken. （Default value: 9）
發送TCP keepalive探測數據包的最大數量，默認是9.如果發送9個keepalive探測包后對端仍然沒有響應，就關掉這個連接。
3、tcp_keepalive_intvl – INTEGER
How frequently the probes are send out. Multiplied by tcp_keepalive_probes it is time to kill not responding connection,
after probes started. Default value: 75sec i.e. connection will be aborted after ~11 minutes of retries.
發送兩個TCP keepalive探測數據包的間隔時間，默認是75秒。
五、常用netstat相關命令 1、列出所有端口 #netstat -a 2、列出所有 tcp 端口 #netstat -at 3、列出所有 udp 端口 #netstat -au 4、只顯示監聽端口 #netstat -l 5、只列出所有監聽 tcp 端口 #netstat -lt 6、只列出所有監聽 udp 端口 #netstat -lu 7、列出所有監聽 UNIX 端口 #netstat -lx 8、顯示所有端口的統計信息 #netstat -s 9、顯示 TCP 或 UDP 端口的統計信息 #netstat -st 或 -su 10、 輸出中顯示 PID 和進程名稱 #netstat -p 11、netstat 輸出中不顯示主機，端口和用戶名 (host, port or user)
當你不想讓主機，端口和用戶名顯示，使用 netstat -n。將會使用數字代替那些名稱。
同樣可以加速輸出，因為不用進行比對查詢。
#netstat -an
如果只是不想讓這三個名稱中的一個被顯示，使用以下命令
# netsat -a --numeric-ports # netsat -a --numeric-hosts # netsat -a --numeric-users
12、持續輸出 netstat 信息 #netstat -c
13、找出程序運行的端口 #netstat -ap | grep ':80'
14、查看連接某服務端口最多的的IP地址（前20個）